Een applicatie is bereikbaar via zowel een CloudFront-distributie als rechtstreeks via een internetgerichte Application Load Balancer (ALB). De beheerder moet ervoor zorgen dat de app alleen toegankelijk is via CloudFront en niet rechtstreeks via de ALB, zonder de applicatiecode te wijzigen. Welke configuratie bereikt dit?

De juiste oplossing is om een aangepaste HTTP-header toe te voegen in de CloudFront-originconfiguratie en vervolgens een ALB-listenerregel te configureren die alleen aanvragen met die specifieke header en waarde doorstuurt. Alle andere aanvragen, inclusief directe toegang tot de ALB, worden dan geblokkeerd met een 403-fout. Dit is effectief omdat CloudFront de header toevoegt voordat de aanvraag naar de ALB wordt gestuurd, terwijl directe aanvragen deze header niet hebben. De optie om de ALB om te zetten naar een intern type werkt niet omdat CloudFront geen verbinding kan maken met een interne ALB. Lambda@Edge is een geldige optie, maar vereist applicatiecodewijzigingen of complexe logica, wat in strijd is met de vereiste om de applicatiecode niet te wijzigen. Het vervangen van de openbare ALB door een interne ALB is om dezelfde reden als de eerste optie onjuist.